HopeDC — Групповые политики Windows: HopeDC и MS AD

Содержание

1. Три сценария
2. Сценарий A: собственный домен HopeDC
3. Сценарий B: домен‑зеркало MS AD — что работает
4. Сценарий B: как управлять политиками
5. Сценарий C: перевод домена из MS AD в HopeDC
6. Проверка и диагностика

1. Три сценария

Как групповые политики попадают на Windows‑компьютеры, зависит от того, кто контроллер домена:

Сценарий	Домен на странице «Домены»	Откуда клиенты получают политики	Где настраивать
A. Собственный домен HopeDC	Без статуса «Интегрирован»	С HopeDC: LDAP + SYSVOL по SMB	Веб‑панель HopeDC или GPMC (RSAT)
B. Домен‑зеркало MS AD	«Интегрирован» (зеркало AD)	С контроллеров MS AD (их SYSVOL)	GPMC на контроллере MS AD
C. Перевод домена из MS AD в HopeDC	Зеркало → «Отключить от AD»	До отключения — с MS AD, после — с HopeDC	Перенос политик по разделу 5

С v182 параметры политик домена‑зеркала можно править в HopeDC — без установки чего‑либо на контроллер MS AD. HopeDC работает с папкой SYSVOL контроллера напрямую по SMB, как консоль GPMC (Документ 3): держит копию файлов политик, а в двустороннем режиме записывает правки из своего редактора в SYSVOL AD вместе с версией политики. Если синхронизация SYSVOL выключена — как раньше: объекты GPO и связи HopeDC пишет в AD, а параметры настраивайте в GPMC.

2. Сценарий A: собственный домен HopeDC

HopeDC — контроллер домена, Windows‑клиенты получают политики штатным механизмом Windows, как от AD: объект политики (groupPolicyContainer) и связи gPLink — по LDAP, файлы параметров — из \\<домен>\SYSVOL\<домен>\Policies\{GUID} по SMB с входом по Kerberos (DFS‑ссылки ведут на \\hopedc.<домен>\SYSVOL).

2.1. Где настраивать

Домены → «Управлять» → «Групповые политики» (права роли: gpo.view — просмотр, gpo.edit — изменение). Вкладки:

«Объекты GPO» — список политик: имя, статус, WMI‑фильтр, дата изменения. Кнопки «Создать GPO», «Редактировать», «Удалить GPO» (для отмеченных; двойной щелчок по строке отмечает её).
«Связи (Links)» — привязки к домену и OU, кнопка «Привязать GPO к OU».
«Редактор настроек: <имя>» — появляется при редактировании политики.

2.2. Создать и привязать политику

«Создать GPO» → «Имя объекта (GPO Name)» → «Сохранить». Создаётся объект с подконтейнерами Machine/User и папка в SYSVOL с GPT.INI.
«Связи (Links)» → «Привязать GPO к OU» → отметьте политики и цели («корень домена» и/или подразделения) → при необходимости «Принудительно (Enforced)» → «Привязать».
«Редактировать» → настройте параметры (раздел 2.3). Каждое сохранение увеличивает версию политики — панель показывает «Параметр сохранён (версия политики N)».
На клиенте: gpupdate /force (или дождитесь фонового обновления, по умолчанию 90–120 минут), проверка — gpresult /r или gpresult /h report.html.

2.3. Что можно настроить

Раздел редактора	Конфигурация	Файл в SYSVOL / объект
Administrative Templates (административные шаблоны, ADMX)	Компьютер и пользователь	`Registry.pol`
Конфигурация Windows → «Параметры безопасности»: «Политика паролей и блокировки», «Политика Kerberos», «Расширенная политика аудита»	Компьютер	`GptTmpl.inf`, `audit.csv`
«Сценарии (запуск/завершение)», «Сценарии (вход/выход из системы)»	Компьютер / пользователь	`scripts.ini`, `psscripts.ini` и файлы сценариев (до 10 МБ)
«Политика разрешения имён» (NRPT), «QoS на основе политики»	Компьютер (QoS — и пользователь)	`Registry.pol`
«Развёрнутые принтеры»	Компьютер и пользователь	объекты `msPrint-ConnectionPolicy`
«Перенаправление папки»	Пользователь	`fdeploy1.ini` (базовое, для всех)
«Настройка (Preferences)»: «Сопоставление дисков», «Среда», «Файлы», «Папки», «INI‑файлы», «Реестр», «Сетевые общие ресурсы», «Ярлыки», «Локальные пользователи и группы», «Источники данных», «Устройства», «Службы», «Принтеры», «Назначенные задания», «Региональные параметры», «Параметры папок»	По категории	XML предпочтений; «Нацеливание на уровне элемента» — группа безопасности, OU, диапазон IP, WMI‑запрос и др.
«Установка программ»	Компьютер и пользователь	Объект пакета создаётся, но MSI на клиентах не устанавливается (ограничение)

2.4. Стандартные политики

Default Domain Policy {31B2F340-016D-11D2-945F-00C04FB984F9} — создаётся и привязывается к корню домена автоматически. Её «Политику блокировки» HopeDC применяет и сам (блокировка учётных записей).
Default Domain Controllers Policy {6AC1786C-016F-11D2-945F-00C04fB984F9} — создаётся и, как в AD, привязывается к OU Domain Controllers (v192). В этой OU лежат учётные записи контроллеров HopeDC; сами контроллеры HopeDC — не Windows и параметры политики не применяют, но привязка и структура совпадают с AD, поэтому скрипты и консоли, которые на них рассчитывают, работают. Стандартные политики и SYSVOL нового домена создаются сразу при создании домена (v187).
Стандартные политики удалить нельзя.

2.5. Правка через GPMC (RSAT)

Политики собственного домена HopeDC можно править и консолью «Управление групповой политикой» (GPMC) с компьютера домена с RSAT: Domain Admins, Enterprise Admins и Group Policy Creator Owners (последние — только свои GPO) имеют право записи в SYSVOL HopeDC. Изменения видны в веб‑панели и реплицируются на все узлы кластера HopeDC.

2.6. Кластер HopeDC

Объекты GPO и файлы SYSVOL реплицируются между узлами кластера HopeDC вместе с каталогом (Документ 7). Отдельная настройка не нужна.

2.7. Ограничения сценария A

Нет WMI‑фильтров (колонка показывает только наличие ссылки), фильтрации безопасности (все политики применяются к Authenticated Users), отключения связи и блокировки наследования в веб‑панели.
«Установка программ» не устанавливает MSI; «Перенаправление папки» — базовое, без правил по группам.
HopeDC не реплицирует SYSVOL с контроллерами Windows (нет DFS‑R): в одном домене не могут работать HopeDC и Windows DC с общим SYSVOL.

3. Сценарий B: домен‑зеркало MS AD — что работает

В домене‑зеркале контроллером остаётся MS AD: Windows‑клиенты получают политики с контроллеров AD из их SYSVOL. HopeDC синхронизирует каталог (по умолчанию раз в 60 секунд) и ведёт себя так:

Действие	Синхронизация SYSVOL выключена	Синхронизация SYSVOL включена (v182, Документ 3)
Просмотр политик	Объекты GPO и связи `gPLink`/`gPOptions` читаются из AD; параметров (файлов) в HopeDC нет.	Плюс параметры: файлы всех политик копируются из SYSVOL AD, изменения из GPMC — в течение 5 минут.
Привязка / отвязка политики	Связь (`gPLink`) записывается в AD — работает.
Создание GPO в HopeDC	В AD создаётся объект политики без папки в SYSVOL. Не рекомендуется — создавайте политики в GPMC.	Объект в AD и папка политики в SYSVOL AD (`GPT.INI`, `Machine`, `User`).
Правка параметров	В AD не передаётся. Панель предупреждает «Домен интегрирован с MS AD…».	Режим «Двусторонняя»: записывается в SYSVOL AD с подъёмом версии (`GPT.INI` и `versionNumber` в AD). Если ту же политику изменили и в GPMC — конфликт, решает администратор. Режим «Только из AD»: правки заменяются версией из AD.
Удаление GPO в HopeDC	AD может отказать в удалении (у объекта есть подконтейнеры) — удаляйте политики в GPMC.

4. Сценарий B: как управлять политиками

Создавайте и настраивайте политики в GPMC на контроллере MS AD (или с RSAT на компьютере домена).
Привязывать готовые политики к OU можно и в HopeDC («Связи (Links)») — связь запишется в AD.
Через минуту (интервал синхронизации) политика и её связи видны в HopeDC. Сразу — домен → «Интеграция (AD/LDAP)» → «Синхронизировать сейчас».
Клиенты применяют политику с контроллеров AD: gpupdate /force, gpresult /r.

SYSVOL контроллера MS AD (SMB 445, без агента)

Режимы, права учётки синхронизации и решение конфликтов — Документ 3. Настройка — домен → «Интеграция (AD/LDAP)» → «SYSVOL контроллера MS AD». С двусторонним режимом политики домена‑зеркала можно настраивать и в GPMC, и в редакторе HopeDC; одну и ту же политику одновременно в двух местах лучше не править. Агенты прежних версий (порт 8027) не используются — удалите их (Документ 3, раздел 7).

5. Сценарий C: перевод домена из MS AD в HopeDC

При отключении домена от AD (домен → «Интеграция (AD/LDAP)» → «Проверка готовности» → «Отключить от AD», Документ 2, п. 4.9) объекты GPO и связи остаются в HopeDC. Файлы параметров HopeDC переносит сам, если для домена включена синхронизация SYSVOL (Документ 3):

«Проверка готовности» (v181) показывает, у скольких политик файлы уже есть в HopeDC, конфликты и расхождения версии GPT.INI с объектом политики;
«Отключить от AD» сначала выполняет последнюю синхронизацию SYSVOL с контроллером AD; если контроллер недоступен или есть конфликты — отключение не выполняется (можно подтвердить отключение без неё, если контроллер AD уже выключен);
после отключения версии GPT.INI выравниваются по versionNumber объектов, синхронизация SYSVOL выключается; файлы политик отдаются клиентам из SYSVOL HopeDC.

Если синхронизация SYSVOL не включалась, перенесите файлы вручную до вывода контроллеров AD:

Пока контроллеры AD работают, сделайте резервную копию политик: на контроллере AD Backup-GPO -All -Path C:\GPOBackup (модуль GroupPolicy).
Если для домена включена синхронизация SYSVOL (Документ 3), файлы политик уже скопированы в HopeDC: перед отключением нажмите в карточке «SYSVOL контроллера MS AD» «Синхронизировать сейчас» и убедитесь, что у всех политик состояние «сверена» и конфликтов нет. Шаг с robocopy ниже тогда нужен только для проверки.
Отключите домен от AD в HopeDC. В течение 2 минут HopeDC создаст файлы стандартных политик.
С компьютера домена от имени администратора домена скопируйте папки политик из SYSVOL AD в SYSVOL HopeDC, кроме двух стандартных ({31B2F340-…}, {6AC1786C-…}):
```
robocopy \\<dc-ad>\SYSVOL\corp.local\Policies \\hopedc.corp.local\SYSVOL\corp.local\Policies /E /XD {31B2F340-016D-11D2-945F-00C04FB984F9} {6AC1786C-016F-11D2-945F-00C04fB984F9}
```
Проверьте у каждой политики, что Version= в GPT.INI совпадает с атрибутом versionNumber объекта политики (Attribute Editor в «Структуре домена»). Если нет — сохраните любой параметр политики в веб‑панели или GPMC: версии выровняются.
На клиентах: gpupdate /force, gpresult /h — политики должны применяться без ошибок доступа к SYSVOL.

После отключения от AD все политики получают стандартные права (применяются к Authenticated Users): фильтрация безопасности из AD не сохраняется. Политики, рассчитанные на отдельные группы, перед отключением пересмотрите. Порядок переноса SYSVOL проверьте на тестовом стенде до работы с рабочим доменом.

6. Проверка и диагностика

Что проверить	Как
Какие политики применились	`gpresult /r`, подробно — `gpresult /h report.html`; ошибки — журнал Windows «Microsoft‑Windows‑GroupPolicy/Operational».
Доступ к SYSVOL	`dir \\corp.local\SYSVOL\corp.local\Policies`; DFS‑ссылка — `dfsutil /pktinfo`.
Версии политики	`GPT.INI` (`Version=`) и `versionNumber` объекта должны совпадать.
Журнал HopeDC	Домен → «Логирование»: «GPO: создана …», «Registry.pol … обновлён — значений N, версия V», «SYSVOL: …».
Политика «Отказано (безопасность)» в gpresult	У объекта политики нет прав на чтение. Объектам без прав HopeDC сам задаёт стандартные (Authenticated Users — чтение и применение) в течение 2 минут — повторите `gpupdate /force`.

Политики для Linux‑клиентов — в Документе 11.